L'équipe Texto SMS Gratuit
29 agosto 2026 · 12 min di lettura
Introduzione: l'unico soggetto che ti segue senza bisogno di un'app
Ci si preoccupa moltissimo delle applicazioni. Le disinstalliamo, rifiutiamo i cookie, passiamo a un browser più discreto. E intanto resta un soggetto che non ha bisogno di alcuna app, di alcun consenso ai cookie e di alcun permesso di sistema per sapere dove sei, a che ora e con chi comunichi: il tuo operatore mobile.
È una conseguenza strutturale del funzionamento della rete. Perché una chiamata arrivi sul tuo telefono, la rete deve sapere in permanenza a quale area di localizzazione sei agganciato. Perché un SMS parta, deve essere instradato, marcato temporalmente, registrato. Perché venga emessa una fattura, deve esistere una traccia. Nessuna di queste operazioni è facoltativa, e nessuna può essere «rifiutata» dalle impostazioni.
La vera domanda, quindi, non è «come impedire al mio operatore di raccogliere dati», ma dove passa il confine tra ciò che è tecnicamente e legalmente obbligatorio e ciò che rientra in una scelta commerciale che puoi rifiutare. Nel 2026 questo confine si è spostato: gli operatori francesi hanno tutti industrializzato attività di monetizzazione delle audience, su perimetri che la maggior parte degli abbonati non ha mai consapevolmente accettato.
Questa guida fa chiarezza, categoria per categoria, e indica la procedura concreta per recuperare i tuoi dati e disattivare ciò che è disattivabile.
Le quattro famiglie di dati in mano a un operatore
È utile ragionare per quattro blocchi distinti, perché obbediscono a regole giuridiche completamente diverse.
1. I dati identificativi
Nome, indirizzo, data di nascita, coordinate bancarie, documento d'identità fornito alla sottoscrizione, numero IMEI del terminale associato, numero della scheda SIM (ICCID). Questa base viene conservata per tutta la durata del contratto e per cinque anni dopo la disdetta, a titolo di obblighi contabili e di lotta alle frodi.
2. I dati di traffico — i famosi «tabulati»
È il blocco più sensibile. La «fattura dettagliata» (in Francia la fadette) non contiene il contenuto delle tue comunicazioni, ma i loro metadati: numero chiamato o chiamante, data, ora, durata, tipo di comunicazione, numero degli SMS inviati e ricevuti e — punto chiave — l'identificativo della cella radio utilizzata.
Il quadro normativo francese è stato profondamente rivisto dopo la sentenza La Quadrature du Net della Corte di giustizia dell'Unione europea (2020) e la decisione del Conseil d'État dell'aprile 2021. Il regime attuale, codificato all'articolo L34-1 del code des postes et des communications électroniques, distingue:
- i dati di identità civile: conservazione cinque anni;
- le altre informazioni contrattuali e di pagamento: un anno;
- i dati di traffico e di localizzazione: un anno, ma la loro conservazione generalizzata si attiva solo tramite un decreto che accerta una minaccia grave e attuale per la sicurezza nazionale — decreto che, dal 2021, è stato rinnovato senza interruzione.
In altre parole: nella pratica, nel 2026 i tuoi dati di traffico sono effettivamente conservati per un anno.
3. I dati di localizzazione
Si declinano su due livelli. Il primo, passivo, è prodotto in continuo dalla rete: il tuo telefono segnala l'aggancio a una cella anche quando non lo stai usando. Il secondo, attivo, è associato a ciascuna comunicazione.
La precisione dipende dalla densità della copertura. In pieno centro urbano una cella può coprire 200-300 metri; in zona rurale diversi chilometri. Gli operatori dispongono però di tecniche di triangolazione e di analisi della potenza del segnale che affinano notevolmente il risultato, ed è esattamente questa materia prima ad alimentare le offerte di «dati di mobilità» vendute agli enti locali e agli operatori del turismo.
4. I dati d'uso e di navigazione
Volumi di dati consumati, orari, tipo di rete utilizzata (4G, 5G, Wi-Fi calling) e, per la linea fissa, una parte dei log di connessione. Su mobile, la diffusione generalizzata della cifratura HTTPS e del DNS cifrato ha ridotto la visibilità degli operatori sui contenuti, ma non sui nomi di dominio risolti quando usi il resolver DNS predefinito dell'operatore.
Ciò che è obbligatorio e ciò che è commerciale
È la distinzione che le brochure non fanno mai chiaramente.
| Trattamento | Base giuridica | Rifiutabile? |
|---|---|---|
| Fatturazione e recupero crediti | Esecuzione del contratto | No |
| Conservazione dei tabulati | Obbligo di legge (L34-1 CPCE) | No |
| Lotta alle frodi e all'usurpazione d'identità | Legittimo interesse | Difficilmente |
| Misurazione interna delle audience anonimizzata | Legittimo interesse | Parzialmente |
| Pubblicità profilata sulle tue abitudini | Consenso | Sì |
| Rivendita di dati di mobilità aggregati | Legittimo interesse + anonimizzazione | Sì, tramite opposizione |
| Arricchimento del profilo marketing | Consenso | Sì |
La linea di demarcazione è netta: tutto ciò che si fonda sul consenso può essere revocato in qualsiasi momento, con la stessa facilità con cui è stato prestato. È un requisito esplicito del GDPR, ribadito a più riprese dalla CNIL nelle sue delibere sanzionatorie nei confronti di operatori delle telecomunicazioni e della pubblicità.
Il punto cieco: la pubblicità profilata dell'operatore
È il tema più frainteso del 2026.
Un operatore dispone di un vantaggio che nessuna piattaforma possiede: un identificativo stabile, verificato e collegato a una persona reale. Il tuo numero di telefono non cambia quando cambi browser, non si azzera come un identificativo pubblicitario mobile e non viene bloccato da una finestra in incognito. Aggiungici l'indirizzo di fatturazione, il tipo di terminale, la zona di residenza e il consumo di dati: il profilo che ne risulta è di una ricchezza rara.
In concreto, tutti e quattro gli operatori francesi utilizzano dispositivi di questo tipo, con denominazioni variabili: programmi di audience, concessionarie pubblicitarie interne, offerte di «data marketing» per gli inserzionisti. Il principio è sempre lo stesso: segmentare la base abbonati in audience («genitori di bambini piccoli», «viaggiatori frequenti», «con fibra attivata da meno di sei mesi») e poi vendere l'accesso a questi segmenti.
Due aspetti meritano attenzione.
Innanzitutto, il consenso è stato spesso ottenuto per default. Molti abbonati hanno accettato questi trattamenti al momento della sottoscrizione online, tramite una casella pre-selezionata oggi non conforme, oppure in occasione di un aggiornamento delle condizioni generali accettato con un clic. Aver «accettato» quattro anni fa non ti impedisce in alcun modo di revocare quel consenso oggi.
In secondo luogo, l'anonimizzazione invocata non è sempre una vera anonimizzazione. La CNIL distingue rigorosamente l'anonimizzazione (irreversibile, il dato esce dall'ambito del GDPR) dalla pseudonimizzazione (reversibile, il dato resta protetto). Un insieme di dati di mobilità che conserva traiettorie individuali, anche senza nome, resta re-identificabile con una manciata di punti: diversi studi pubblicati dal 2013, in particolare quelli di ricercatori del MIT su dataset di telecomunicazioni, hanno dimostrato che quattro punti spazio-temporali bastano a re-identificare la stragrande maggioranza degli individui.
La procedura concreta: esercitare il diritto di accesso
Il diritto di accesso previsto dall'articolo 15 del GDPR è probabilmente lo strumento più sottoutilizzato dai consumatori. Ecco come impiegarlo in modo efficace.
Passo 1 — Individuare il destinatario giusto
Ogni operatore ha un responsabile della protezione dei dati (DPO) i cui riferimenti figurano obbligatoriamente nell'informativa sulla privacy, in fondo al sito. Scrivi a quell'indirizzo, non all'assistenza clienti: il servizio clienti non ha né il mandato né gli strumenti per gestire una richiesta GDPR, e ci perderai tre settimane.
Passo 2 — Formulare una richiesta precisa
Una richiesta vaga ottiene una risposta vaga. Chiedi esplicitamente:
- la copia di tutti i dati personali che ti riguardano;
- l'elenco delle categorie di dati di traffico e di localizzazione conservati, con la loro durata esatta;
- le finalità di ciascun trattamento e la relativa base giuridica;
- i destinatari o le categorie di destinatari, compresi i responsabili del trattamento e i partner pubblicitari;
- l'eventuale esistenza di un processo decisionale automatizzato (scoring di solvibilità, scoring del rischio di disdetta) e la logica sottostante;
- i trasferimenti fuori dall'Unione europea e le relative garanzie.
Allega una copia di un documento d'identità — è ammesso per verificare la tua identità — e conserva una prova con data e ora dell'invio.
Passo 3 — Tenere il conto dei termini
L'operatore ha un mese per rispondere, prorogabile di due mesi per le richieste complesse, a condizione di informartene entro il primo mese. Trascorso questo termine senza una risposta soddisfacente, puoi presentare un reclamo online alla CNIL, gratuitamente, allegando la tua richiesta iniziale e la mancata risposta.
Passo 4 — Sfruttare ciò che ricevi
Riceverai in genere uno o più file CSV di grandi dimensioni. Aprirli su uno smartphone è una cattiva idea travestita da buona: un foglio di calcolo su computer, o anche un semplice portatile ricondizionato dedicato alle pratiche amministrative, rende l'esercizio infinitamente più leggibile. Cerca in via prioritaria tre colonne: gli identificativi delle celle radio, gli indicatori di segmentazione marketing e le date di ultimo aggiornamento del profilo.
Ridurre l'esposizione: ciò che funziona davvero
Nessuna di queste misure renderà invisibile la tua linea — la localizzazione di rete è inseparabile dal servizio. Ma riducono nettamente la superficie sfruttabile.
Revocare i consensi pubblicitari. Nell'area clienti di ogni operatore, una sezione «Le mie preferenze sulla privacy» o «Gestione dei miei dati» consente di disattivare la profilazione, l'arricchimento del profilo e la trasmissione a partner. Calcola cinque minuti; l'effetto è immediato sulle campagne, più lento sui segmenti già venduti.
Cambiare resolver DNS. Usare un resolver cifrato di terze parti al posto di quello del modem impedisce all'operatore di osservare i nomi di dominio che consulti. L'impostazione si fa sul telefono (DNS privato) o sul router.
Compartimentare gli usi. Una seconda linea — per esempio una eSIM prepagata dedicata alle iscrizioni, agli annunci e ai servizi online — evita che il tuo numero principale, quello della banca e dei tuoi cari, finisca per circolare nei database di marketing. È anche la migliore protezione contro il telemarketing.
Curare il terminale. Il livello operatore è solo una parte del problema: gli identificativi pubblicitari del sistema e i permessi delle app pesano spesso di più. Reimpostare periodicamente l'identificativo pubblicitario, rifiutare i permessi di localizzazione «sempre» e privilegiare «durante l'uso» cambia le carte in tavola molto più della maggior parte delle impostazioni esotiche.
Mettere in sicurezza l'accesso fisico alla linea. L'usurpazione della scheda SIM (SIM swap) resta l'anello debole: chi ottiene il tuo numero ottiene i tuoi codici di autenticazione a due fattori. Attivare un codice PIN SIM non banale e, soprattutto, spostare l'autenticazione a due fattori più sensibile dagli SMS a una chiave di sicurezza fisica FIDO2 o a un'app dedicata elimina questa dipendenza.
Tre idee sbagliate da abbandonare
«Il mio operatore legge i miei SMS.»
Tecnicamente un SMS transita in chiaro nell'infrastruttura e potrebbe essere letto. Giuridicamente, l'accesso al contenuto delle comunicazioni è un regime distinto, strettamente riservato alle intercettazioni autorizzate dall'autorità giudiziaria o amministrativa, con un formalismo pesante. Non è una pratica commerciale corrente, e la sua violazione costituisce un reato penale. Il vero tema restano i metadati, ampiamente sufficienti a ricostruire una vita.
«La modalità aereo mi rende invisibile.»
Interrompe effettivamente l'aggancio alla rete, ma non appena la riattivi il terminale si riaggancia e la marcatura temporale riprende. Un'interruzione crea un buco nella traccia, non una cancellazione.
«Non ho nulla da nascondere, quindi non importa.»
L'argomento non regge a un esame concreto. I dati di traffico rivelano una visita medica, un appuntamento da un avvocato, un'iscrizione sindacale, una notte trascorsa altrove rispetto al proprio domicilio. Non sono segreti: sono elementi di vita privata il cui accostamento produce un potere asimmetrico. È esattamente la ragione per cui la CGUE ne disciplina in modo così rigoroso la conservazione.
Il riflesso giusto: una revisione annuale della privacy
La maggior parte dei lettori non rifarà mai questo esercizio. È un peccato, perché richiede un'ora all'anno:
- Aprire l'area clienti del proprio operatore e verificare la pagina «dati personali» — le impostazioni a volte si azzerano quando si cambia offerta.
- Verificare la propria iscrizione a Bloctel, valida tre anni, da rinnovare.
- Inviare una richiesta di accesso GDPR all'operatore, ogni due anni, per verificare la coerenza dei tempi di conservazione dichiarati.
- Passare in rassegna i permessi di localizzazione delle app installate nell'ultimo anno.
- Verificare che gli account sensibili (banca, casella di posta principale, fisco) non dipendano più dagli SMS come unico secondo fattore.
Per chi vuole approfondire il tema, le guide pratiche della CNIL sono gratuite e notevolmente chiare, ed esiste una solida divulgazione per il grande pubblico: un libro divulgativo sulla protezione dei dati personali rappresenta un buon complemento per comprendere la logica del GDPR anziché memorizzarne gli articoli.
In sintesi
Il tuo operatore possiede, per costruzione, una mappa dei tuoi spostamenti e delle tue relazioni sugli ultimi dodici mesi. Questa parte è legale, disciplinata, e non puoi rifiutarla. Ciò che invece puoi rifiutare, e che molti ignorano di aver accettato, è lo strato commerciale: profilazione, arricchimento del profilo, segmentazione delle audience, trasmissione a partner.
La distinzione tra questi due strati è l'unica cosa da ricordare. Trasforma un vago senso di impotenza in un elenco di azioni concrete: tre clic nell'area clienti, un'e-mail al DPO e un ricorso gratuito alla CNIL se la risposta non arriva.
Fonti e riferimenti: articolo L34-1 del code des postes et des communications électroniques; regolamento (UE) 2016/679 (GDPR), articoli 15, 17 e 21; CGUE, sentenza La Quadrature du Net et autres, 6 ottobre 2020; Conseil d'État, decisione French Data Network, 21 aprile 2021; guide e delibere della CNIL; lavori dell'Arcep sulla qualità e sull'uso delle reti mobili.
